Una ricerca di Truffle Security ha individuato 543.699 credenziali ancora valide all’interno di codice proveniente da repository pubblici GitHub.

Tra i dati esposti figurano API key, token di accesso, credenziali per database e account di servizio. L’analisi è stata condotta su The Stack v3, un dataset pubblico di 15,9 TB, utilizzato per l’addestramento di modelli di intelligenza artificiale dedicati al codice e costruito a partire da circa 224 milioni di repository GitHub.

Due giorni fa, Microsoft ha diramato un’allerta globale su una nuova e sofisticata campagna di phishing che sfrutta l’intelligenza artificiale per colpire gli account aziendali. Come CERT-AgID, abbiamo già raccolto prove che confermano come questa minaccia stia prendendo di mira anche la Pubblica Amministrazione italiana.

Il rischio non deriva da un exploit tradizionale, ma dall’esposizione di un canale di comunicazione privilegiato senza autenticazione obbligatoria e senza valori di default sicuri.

L’esposizione non autenticata del servizio in rete deve quindi essere considerata una configurazione ad alto rischio e non coerente con un utilizzo sicuro del componente.